Prática NAT/Proxy. Edgard Jamhour. Esses exercícios devem ser executados através do servidor de máquinas virtuais: espec.ppgia.pucpr.

Transcrição

1 Prática NAT/Proxy Edgard Jamhour Exercícios práticos sobre NAT e Proxy, usando Linux. Esses exercícios devem ser executados através do servidor de máquinas virtuais:.ppgia.pucpr.br OBS. Esse roteiro utiliza o proxy SQUID. Contudo, os detalhes da configuração do SQUID envolvem muitos aspectos de segurança, e não serão estudados nesse roteiro. O objetivo aqui é apenas explorar aos aspectos de endereçamento privado do proxy. Na disciplina de segurança em s IP, a configuração do SQUID e do iptables será vista em detalhes. 1

2 Topologia de Rede para Todos os Cenários pública Roteador com NAT Para todos os cenários dessa prática, será necessário criar duas máquinas virtuais, conforme indicado na figura. A VM atua como um cliente com IP privado, atua como o roteador com a funcionalidade de NAT. O próprio servidor irá atuar no papel do host externo (isto é, um host qualquer da ). Presentemente, não é possível ter acesso a a partir das VMs. Dessa forma, o espaço de endereçamento /8 será utilizado para simular os endereços públicos da. Dessa forma, a (IP ) irá representar o papel de servidor ou cliente na para nossas práticas. Note que não é possível criar rotas na. Dessa forma, uma VM com IP privado () não terá acesso a, a menos que a funcionalidade de NAT seja configurada em. Como nos exercícios anteriores é necessário tomar cuidado para não haver conflito com os endereços de outras VMs sendo executadas na. Para isso, supondo que seu código de estudante é (101) x, escolha os seguintes endereços: : , : : Primeiro, abra um terminal na, e crie um diretório em sua área para armazenar as máquinas virtuais: mkdir praticanat cd praticanat Crie a primeira máquina virtual para representar o gateway : /usr/local/uml/linux32.s login: root Execute o seguinte procedimento na VM : ifconfig /8 ifconfig /24 route add default gw sysctl -w net.ipv4.ip_forward=1 Abra um outro terminal na, e crie uma segunda VM para representar : /usr/local/uml/linux32.s login: root Execute o seguinte procedimento na VM : ifconfig /24 route add default gw

3 Acesso via Proxy wget /~jamhour ~jamhour/p acotes/nat.tar.gz Proxy Neste cenário, o host 1 irá acessar ao servidor HTTP da utilizando um proxy de aplicação (SQUID). Para executar essa prática, é necessário instalar vários pacotes na máquina virtual. Em : wget /~jamhour/pacotes/natproxy.tar.gz tar -xzf natproxy.tar.gz cd natproxy rpm -ivh iptables<tab> rpm -ivh comp<tab> rpm -ivh perl-5<tab> rpm -ivh perl-u<tab> rpm -ivh squid<tab> cp squid.conf /etc/squid service squid start Em, verifique se é possível acessar ao serviço HTTP da via o proxy SQUID (ip de ): wget --execute=http_proxy= :3128 /~jamhour/pacotes/natproxy.tar.gz Se a transferência foi bem sucedida, copie o arquivo access.log para o seu diretório na. Esse arquivo será usado para compor o relatório dessa prática. Em : scp /var/log/squid/access.log seu_login@:. 3

4 SNAT e DNAT Interface de Entrada Interface de Saída Pré-Roteamento [DNAT] roteamento Pós-Roteamento [SNAT] decisão sobre o encaminhamento do pacote No Linux, o NAT é configurado através do utilitário de comando de linha iptables. O iptables serve de interface para outros serviços de s do Linux, como o filtro de pacotes (firewall). Quando usado para configurar regras de NAT, o iptables segue a seguinte sintaxe: Para o Source NAT (SNAT) iptables -t NAT -A POSTROUTING -j SNAT -o interface_de_saida --to ip:porta_i-porta_f onde: ip: corresponde ao IP público do roteador porta_i-porta_f: corresponde ao range de portas usados pelo NAPT (e.g ). Para o Destination NAT (DNAT) iptables -t NAT -A PREROUTING -j DNAT p tcp --dport lporta i interface_de_entrada -- to ip:rporta onde: lporta: porta local onde o pacote será recebido no roteador (eg. 80) ip: corresponde ao IP privado do host para onde o pacote será redirecionado rporta: corresponde a porta remota do host para onde o pacote será redirecionado Existem duas variantes dos comandos acima. A primeira é uma variante do SNAT, denominada MASQUERADE. Nesta variante, o endereço IP da interface de sáida é usado automaticamente, eliminando a necessidade de informá-lo no comando iptables: iptables -t nat -A POSTROUTING -j MASQUERADE -o A segunda é uma variante do DNAT, denominada REDIRECT. Nesta variante, o redirecionamento é feito sempre para o mesmo IP que recebeu o pacote, alterando-se apenas o número da porta. iptables -t nat -A PREROUTING -i -p tcp --dport 80 -j REDIRECT --to-port

5 Configuração de SNAT wget /~jamhour ~jamhour/p acotes/nat.tar.gz Roteador com NAT iptables -t nat -A POSTROUTING -o -j SNAT --to Neste primeiro cenário, será testada a funcionalidade de SNAT. O objetivo é permitir que o cliente com ip privado tenha acesso ao servidor na, representado pela. Primeiro, no host, verifique se ele tem acesso a efetuando um comando ping: Em : ping Naturalmente, não deverá haver resposta. A mensagem ICMP foi transmitida até a, contudo, a não é capaz de responder, pois não possui rota para a /24. Utilizando o comando SNAT, é possível utilizar o IP publico do para acessar a. Para isso é necessário digitar o seguinte comando em : Em iptables -t nat -A POSTROUTING -o -j SNAT --to Novamente, verifique em se é possível acessar a : ping Verifique se outros serviços estão disponíveis para o host. Tente efetuar um download via wget: wget /~jamhour/pacotes/natproxy.tar.gz Se sua prática foi bem sucedida, liste a regras do iptables no em um arquivo texto e transfira para. iptables -L -t nat >> snat.txt scp snat.txt seu_login@:. 5

6 Configuração de DNAT ssh Roteador com NAT iptables -t nat -A PREROUTING -i -j DNAT --dport 22 --to :22 Neste segundo cenário, será testada a funcionalidade de DNAT. O objetivo é permitir que o host com ip privado possa ser acessado por um cliente na da, representado pela. Primeiro, no host, é necessário autorizar o serviço SSH a receber logins com o usuário root. Para isso, é necessário editar o arquivo: /etc/sshd/sshd.conf: Em : vi /etc/ssh/sshd_config Altere a linha: PermiteRootLogin no para: PermiteRootLogin yes Altere a linha: #PermitEmptyPassords no para: PermitEmptyPassords yes não esqueça de remover o # (comentário) <ESC>:wq<ENTER> service sshd start Abra um terminal na e verifique se é possível acessar ao serviço SSH em : Na : ssh root@ Naturalmente, não deverá haver resposta, pois a é incapaz de endereçar a. Agora, adicione o mapeamento em, necessário para redirecionar a chamada SSH no ip público de para o host : Em iptables -t nat -A PREROUTING -i -j DNAT -p tcp --dport 22 --to :22 Novamente, verifique na se é possível acessar o serviço ssh em, mas agora através de : ssh root@ ifconfig exit Se sua prática foi bem sucedida, liste a regras do iptables no em um arquivo texto e transfira para. iptables -L -t nat >> dnat.txt scp dnat.txt seu_login@:. 6

7 Relatório Elabore um relatório.txt com o conteúdo desses três arquivos A) access.log B) snat.txt C) dnat.txt Nesse relatório você deverá incluir as informações dos seguintes arquivos: O arquivo com o log de acessos do proxy: /var/log/squid/access.log em O arquivos com a configuração iptables coletados em iptables -L -t nat > nat.txt Caso você tenha esquecido de criar o arquivo snat.txt durante o cenário 2, você poderá entregar apenas o arquivo dnat.txt, uma vez que as regras criadas no iptables são acumulativas. Lembre-se que o comando para transferir arquivos da VM para é: scp arquivo_origem seu_login@:. 7